Eliminar malware WordPress con DirectAdmin: Guía de limpieza

¿Por qué tu WordPress puede estar infectado y cómo darte cuenta?

Si has llegado hasta aquí, probablemente sospechas que tu sitio web no está funcionando como debería. Tal vez se ha vuelto lentísimo, aparece un anuncio raro que no pusiste tú, o Google te muestra un aviso de "Sitio engañoso" cuando intentas acceder. No te preocupes: detectar y eliminar malware en WordPress es un proceso que, con la guía adecuada, puedes hacer tú mismo incluso sin ser un experto en informática.

WordPress es el gestor de contenidos más usado del mundo, y precisamente por eso es el objetivo favorito de los ciberdelincuentes. Las infecciones suelen ocurrir por plugins desactualizados, contraseñas débiles o temas pirata. La buena noticia es que, si actúas con calma y sigues los pasos correctos, podrás limpiar tu web infectada y dejarla como nueva.

En este artículo te voy a explicar, paso a paso y con un lenguaje muy sencillo, cómo detectar señales de infección, cómo limpiar WordPress DirectAdmin (el panel de control que usa tu hosting) y cómo blindar tu sitio para que no vuelva a pasar. Vamos a ello.

Señales claras de que tu web tiene malware

Antes de lanzarte a limpiar, necesitas confirmar que realmente hay un problema. A veces el rendimiento malo se debe a otra cosa, pero estas son las señales más comunes de que algo no va bien:

Avisos del navegador o de Google: Si al entrar a tu web aparece una pantalla roja de "Sitio web engañoso" o "Contenido malicioso", es que Google ya ha detectado el malware.
Redirecciones extrañas: Haces clic en un enlace de tu web y te lleva a una página de apuestas, de farmacia online o a un sitio desconocido. Eso es un clásico.
Anuncios o pop-ups que no has creado: Si aparecen ventanas emergentes llenas de publicidad, es que se ha inyectado código malicioso en tu tema o en tus archivos.
Rendimiento muy lento: El malware consume recursos del servidor, así que si tu web carga fatal de repente, puede ser una señal.
Usuarios o archivos nuevos que no reconoces: Si revisas tu panel de administración y ves usuarios "admin" que no has creado, o archivos con nombres raros en tu hosting, estás ante una infección.
Tu proveedor de hosting te ha suspendido la cuenta: Esto suele pasar cuando el malware está enviando spam masivo desde tu servidor.

[WARNING] Si tu web está infectada, no entres en pánico ni empieces a borrar archivos al azar. Podrías romper tu sitio por completo. Sigue el proceso ordenado que te propongo a continuación.

Preparación antes de limpiar: copia de seguridad y herramientas

Antes de tocar nada, es fundamental que hagas una copia de seguridad completa de tu sitio. Esto incluye tanto los archivos como la base de datos. Si algo sale mal durante la limpieza, podrás restaurar tu web a este punto de partida.

Cómo hacer una copia de seguridad desde DirectAdmin

DirectAdmin es el panel de control que te da tu proveedor de hosting. Es muy visual y fácil de usar. Para hacer la copia:

Accede a DirectAdmin: Normalmente se accede desde tu-dominio.com:2222. Si no sabes las credenciales, pídelas a tu proveedor de hosting.
Busca la sección que se llama "Copia de seguridad" o "Backup".
Dentro, elige la opción de "Crear copia de seguridad" o "Generar backup".
Selecciona que quieres incluir tanto el directorio principal (tus archivos) como la base de datos.
Haz clic en el botón para iniciar el proceso. Puede tardar unos minutos.
Cuando termine, descarga el archivo .tar.gz a tu ordenador y guárdalo en un lugar seguro, incluso en un disco duro externo o en la nube.

[TIP] Si tu hosting usa Syspanel (antes conocido como HestiaCP), el proceso es similar. Accede a tu panel a través del puerto 2106 (por ejemplo, tu-dominio.com:2106), busca la sección de "Backup" y genera una copia completa. La interfaz es muy intuitiva.

Herramientas que necesitarás

Cliente FTP: Un programa como FileZilla (es gratuito) te permitirá conectarte a los archivos de tu web para revisarlos y limpiarlos. Necesitarás las credenciales FTP que te dio tu hosting.
Acceso a phpMyAdmin: Desde DirectAdmin podrás entrar a phpMyAdmin, que es la herramienta para gestionar tu base de datos. La necesitarás para revisar si hay contenido malicioso en tus tablas.
Un editor de texto plano: Como el Bloc de notas (Windows) o TextEdit (Mac). No uses Word para editar código, ya que puede añadir caracteres extraños.

Cómo detectar malware en WordPress paso a paso

Ahora sí, vamos a la acción. Detectar malware WordPress no es tan difícil si sabes dónde mirar. Te propongo un recorrido sistemático.

1. Revisa los archivos del núcleo de WordPress

Los archivos principales de WordPress (los que están en la raíz, como wp-config.php, index.php, o la carpeta wp-includes) no deberían cambiar nunca, salvo cuando actualizas WordPress. Si un archivo ha sido modificado, es una señal de alarma.

Conéctate por FTP a tu servidor usando FileZilla.
Navega hasta la carpeta donde está instalado tu WordPress (normalmente public_html).
Compara los archivos originales con una copia limpia. Puedes descargar la última versión de WordPress desde wordpress.org, descomprimirla en tu ordenador y comparar los archivos de tu servidor con los del paquete limpio.
Fíjate en las fechas de modificación. Si ves archivos modificados en una fecha en la que tú no estabas tocando nada, es sospechoso.

2. Busca archivos extraños en tu servidor

Los atacantes suelen dejar "puertas traseras" (backdoors) en archivos con nombres que parecen legítimos.

En tu cliente FTP, explora las carpetas wp-content, wp-includes y wp-admin.
Busca archivos con nombres extraños como wp-load.php (ese no existe en WordPress), shell.php, c99.php, r57.php, o archivos .php en carpetas donde no debería haberlos (por ejemplo, en wp-content/uploads).
Revisa si hay archivos con doble extensión, como imagen.jpg.php o index.php.bak.

[INFO] Si encuentras un archivo .php dentro de la carpeta uploads, es casi seguro que es malware. Esa carpeta solo debe contener imágenes, vídeos y documentos.

3. Revisa la base de datos

El malware no solo está en los archivos, sino que también puede esconderse en tu base de datos. Para revisarla:

Entra en DirectAdmin y busca el icono de phpMyAdmin.
Selecciona la base de datos de tu WordPress (te la indicó tu hosting al instalarlo).
Haz clic en la pestaña "Buscar" (Search).
Busca términos comunes de malware como eval(base64_decode, gzinflate, document.write, base64_encode, o <script>. Si aparecen resultados, hay código malicioso en esas tablas.

4. Usa plugins de seguridad para un escaneo automático

Aunque vamos a hacer una limpieza manual, los plugins de seguridad son una ayuda inestimable para detectar malware WordPress que no ves a simple vista.

Accede a tu panel de administración de WordPress (tu-dominio.com/wp-admin).
Ve a "Plugins" > "Añadir nuevo" y busca "Wordfence" o "iThemes Security".
Instala y activa uno de ellos. La versión gratuita suele ser suficiente para un escaneo.
Ejecuta un escaneo completo. El plugin te dará un informe con los archivos que considera maliciosos o modificados.

[WARNING] No confíes al 100% en el plugin. Si no puedes entrar a tu panel de administración porque te redirige o te pide contraseñas raras, es que la infección es más profunda y deberías centrarte en la limpieza manual por FTP.

Eliminar malware WordPress: el proceso de limpieza definitivo

Ya tienes el diagnóstico. Ahora toca limpiar WordPress DirectAdmin a fondo. Sigue estos pasos en orden.

1. Poner tu web en modo mantenimiento

Lo primero es aislar el problema para que el malware no siga actuando y para que los visitantes no vean contenido extraño.

Crea un archivo llamado .maintenance en la carpeta raíz de tu WordPress (la misma donde está wp-config.php).
Dentro de ese archivo, escribe <?php $upgrading = time(); ?>.
Esto hará que tu web muestre un mensaje de "mantenimiento en curso" mientras trabajas.

2. Eliminar los archivos maliciosos detectados

Ahora sí, con las herramientas puestas, vamos a eliminar malware WordPress de tu servidor.

En tu cliente FTP, navega a las carpetas y archivos que detectaste como sospechosos en el paso anterior.
Descarga una copia de esos archivos a tu ordenador antes de borrarlos, por si acaso (aunque sea malware, mejor tener un respaldo).
Elimina los archivos maliciosos de tu servidor. Si un archivo legítimo ha sido modificado (como index.php), puedes reemplazarlo por una copia limpia de la última versión de WordPress.
Presta especial atención a la carpeta wp-content/uploads. Borra cualquier .php que encuentres ahí.

3. Limpiar la base de datos

Con phpMyAdmin abierto, vamos a limpiar la base de datos.

En la pestaña "Buscar", introduce los términos maliciosos que encontraste antes.
Cuando veas los resultados, selecciona las filas que contengan el malware.
En la parte inferior, despliega el menú "Con seleccionados" y elige "Eliminar".
Ten mucho cuidado de no borrar contenido legítimo. Revisa cada fila antes de eliminarla.

[TIP] Si la base de datos está muy infectada, a veces es más fácil exportar solo las tablas limpias (como wp_posts, wp_comments) e importarlas a una base de datos nueva. Pero esto ya es un paso más avanzado. Si no te sientes seguro, contacta con tu proveedor de hosting.

4. Cambiar todas las contraseñas

Una vez que el código malicioso está fuera, es crucial cerrar las puertas por las que entró.

Cambia la contraseña de tu panel de WordPress (todos los usuarios, especialmente los administradores).
Cambia la contraseña de tu base de datos desde DirectAdmin. Luego, actualiza el archivo wp-config.php con la nueva contraseña.
Cambia la contraseña de tu cuenta FTP y la de acceso a DirectAdmin.

5. Reinstalar el núcleo de WordPress y los plugins

Para asegurarte de que no queda ningún archivo corrupto, es recomendable reinstalar los componentes principales.

En tu panel de WordPress, ve a "Actualizaciones" y haz clic en "Reinstalar la versión X" (te lo ofrecerá automáticamente). Esto reemplaza todos los archivos del núcleo por los oficiales.
Ve a "Plugins" y desactiva y borra los plugins que no uses o que sean sospechosos. Luego, reinstala los que sí uses desde el repositorio oficial de WordPress.
Haz lo mismo con los temas: desactiva el tema actual, borra el que no uses, y reinstala el tuyo desde el repositorio o súbelo de nuevo desde una copia limpia.

Seguridad WordPress DirectAdmin: cómo blindar tu sitio para el futuro

Has conseguido limpiar tu web infectada, pero el trabajo no termina aquí. Ahora toca prevenir. La seguridad WordPress DirectAdmin depende de buenas prácticas constantes.

Mantén todo actualizado

WordPress, plugins y temas: Activa las actualizaciones automáticas siempre que sea posible. Si no, dedica un día al mes a actualizar todo.
Elimina lo que no uses: Cada plugin o tema adicional es una puerta de entrada potencial. Si no lo usas, bórralo.

Refuerza tus contraseñas y usuarios

Usa contraseñas largas y únicas para todo: WordPress, FTP, base de datos y DirectAdmin.
No uses el usuario "admin". Crea un usuario nuevo con permisos de administrador y borra el antiguo.
Activa la autenticación en dos pasos (2FA) con un plugin de seguridad.

Configura un firewall y un escáner de malware automático

Los plugins como Wordfence o iThemes Security tienen firewalls que bloquean ataques antes de que lleguen a tu web.
Configura estos plugins para que hagan escaneos automáticos una vez por semana y te envíen un informe por email.

Haz copias de seguridad periódicas

Configura tu hosting para que haga copias de seguridad automáticas cada día o cada semana.
Guarda una copia en tu ordenador o en la nube. Así, si te vuelven a infectar, restaurar es cuestión de minutos.

[INFO] Si tu panel es Syspanel (HestiaCP), recuerda que el acceso es por el puerto 2106. Aprovecha para configurar las copias de seguridad automáticas desde su sección de "Backups". Es muy fiable y te dará tranquilidad.

Preguntas frecuentes (FAQ) sobre limpieza de malware

¿Puedo limpiar mi WordPress sin saber programar?

Sí, totalmente. Con esta guía y un poco de paciencia, puedes hacerlo. Las herramientas de DirectAdmin son visuales y los pasos son mecánicos. Eso sí, ve con calma y no borres archivos sin saber qué son.

¿Cuánto tiempo se tarda en limpiar un sitio infectado?

Depende de la gravedad. Una infección leve puede llevar una hora. Una infección profunda en archivos y base de datos puede llevarte una tarde entera. Ve sin prisa.

¿Qué hago si mi web sigue infectada después de la limpieza?

Si has seguido todos los pasos y el problema persiste, es posible que haya una puerta trasera más escondida. En ese caso, te recomiendo contactar con tu proveedor de hosting. Muchos ofrecen un servicio de limpieza de malware, a veces incluso gratuito.

¿Cómo puedo saber si mi web está en la lista negra de Google?

Puedes usar la Google Search Console. Verifica tu sitio y Google te avisará si ha detectado contenido malicioso. También puedes consultar transparencyreport.google.com/safe-browsing/search e introducir tu dominio.

¿Es necesario pagar por un servicio de limpieza profesional?

No siempre. Si la infección es leve o moderada, esta guía te servirá. Si el malware es muy sofisticado o no te sientes seguro, pagar a un profesional es una inversión que te ahorrará dolores de cabeza y posibles daños a tu reputación online.

Conclusión: retoma el control de tu sitio web

Eliminar malware WordPress y limpiar tu web infectada es un proceso que requiere método, pero está al alcance de cualquier persona que siga los pasos correctos. Hemos visto cómo detectar las señales, cómo hacer una copia de seguridad, cómo revisar archivos y base de datos, y cómo eliminar el código malicioso. También hemos repasado las claves para reforzar la seguridad WordPress DirectAdmin y evitar que esto se repita.

Recuerda que la prevención es tu mejor aliada: actualiza siempre, usa contraseñas fuertes y haz copias de seguridad constantes. Tu web es tu tarjeta de presentación en internet, y merece estar sana y protegida.

[TIP] Si en algún momento del proceso te sientes abrumado, respira hondo. Ve paso a paso. Y si no puedes con ello, no pasa nada por pedir ayuda profesional. Lo importante es que tu web vuelva a estar limp